CVE-2026-72724
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.1.6, 2026.5.2, 2026.6.1 və 2026.7.0 versiyalarından əvvəl plugins/chat/lib/chat/onebox_handler.rb istifadəçinin seçilmiş çat kanalını önizləmək imkanının olub-olmadığını yoxlamazdan əvvəl Chat::Thread obyektini route channel_id-dən asılı olmayaraq route thread_id vasitəsilə müəyyən edir. Autentifikasiya olunmuş istifadəçi /onebox.json sorğusunda ictimai kanal ID-sini şəxsi thread ID ilə birləşdirərək şəxsi thread mesajlarının məzmununu əldə edə bilər. Bu problem 2026.1.6, 2026.5.2, 2026.6.1 və 2026.7.0 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | < 2026.1.6, >= 2026.5.0-latest, < 2026.5.2, >= 2026.6.0-latest, < 2026.6.1, >= 2026.7.0-latest, < 2026.7.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.